28. Методы и средства обеспечения доступности информации в операционных системах семейства Windows nt и Linux.

Windows.

Доступность информации – состояние информации, при котором субъекты, имеющие право доступа, могут реализовать их беспрепятственно. (Рекомендации по стандартизации «Информационные технологии. Основные термины и определения в области технической защиты информации» (Р 50.1.053-2005)).

Угроза нарушения доступности (или угроза отказа служб). Возникает всякий раз, когда в результате некоторых событий (преднамеренных действий или ошибки) блокируется доступ к некоторому ресурсу вычислительной системы. Блокирование может быть постоянным - запрашиваемый ресурс никогда не будет получен, или оно может вызывать только задержку выдачи ресурса, достаточно долгую для того, чтобы он стал бесполезным.

В ОС семейства Windows NT доступность информации обеспечивается следующими механизмами:

• файловые квоты (для NTFS);

• квоты на ресурсы;

• управление переключением процессов;

• Distributed File System – распределенная файловая система (доменная или с изолированным корнем);

• поддержка автономного доступа к файлам и папкам;

• функция архивации и восстановления данных;

• брандмауэр Windows.

Файловые квоты – механизм, предоставляемый файловой системой NTFS, позволяющий назначать квоты на максимальный объем дискового пространства, занимаемый теми или иными пользователями. Использование квот позволяет избежать атак типа отказ в обслуживании, заключающихся в исчерпании всего доступного дискового пространства.

Управление переключением процессов – в Windows NT, встроенными механизмами, обеспечивается синхронизация процессов, путём выделение им квот. Это позволяет исключить возможность одного процесса захватить всё процессорное время, тем самым вызвав отказ в обслуживании системы. Также доступность процессорного времени процессом обеспечивается динамическими приоритетами процессов.

Распределенная файловая система - компонент Microsoft Windows, использующийся для упрощения доступа и управления файлами, физически распределёнными по сети. При её использовании файлы, распределённые по серверам, представляются находящимися в одном месте. Распределенная файловая система упрощает доступ к файлам. Пользователи используют единый сетевой ресурс для доступа к файлам, даже если эти файлы физически находятся на разных серверах. Даже если изменится физическое расположение целевой папки, это не повлияет на доступ пользователей к ней. Они смогут обращаться к папке как раньше, поскольку ее видимое расположение не изменится. 

Поддержка автономного доступа к файлам и папкам – данный инструмент в Windows NT является одним из способов обеспечения связи для пользователей, которым необходимо получить доступ к централизованно хранящимся ресурсам общего пользования в случае отказа сетевого доступа к ним.Данная позволяет продолжать работу над сетевым файлом, даже если связь с сетью потеряна.

Функция архивации и восстановления данных – данная функция реализует возможность резервного копирования информации встроенными средствами Windows NT // примечание данная // функция появилась в Windows Vista и старше.

Брандмауэр Windows - встроенный в Microsoft Windows межсетевой экран (начиная с версий Windows XP SP2). Первоначально Windows XP включала компонент "Internet Connection Firewall", который (по умолчанию) был выключен из-за проблем совместимости. В брандмауэр Windows встроен журнал безопасности, который позволяет фиксировать IP-адреса и другие данные, относящиеся к соединениям в домашних и офисной сетях или в Интернете. Можно записывать как успешные подключения, так и пропущенные пакеты. Это позволяет отслеживать, когда компьютер в сети подключается, например, к web-сайту.

Linux

В ОС семейства Linux доступность информации обеспечивается следующими механизмами:

• контроль использования ресурсов системы;

• поддержка файловых квот;

• демон xinetd;

• межсетевой экран iptables;

• журналирование файловой системы;

• построение кластерных систем.

1. Linux в отличие от Windows позволяет накладывать ограничения для пользователей и групп на использование ресурсов компьютера. По умолчанию данные ограничения отключены, это порождает потенциальную возможность для атак вида DoS (Denial of Service, отказ в обслуживании). Файл управления этими ограничениями /etc/security/limits.conf. Ограничивать можно как отдельных пользователей так и группы. Можно ограничит следующие параметры: количество создаваемых процессов, объём используемой памяти, количество потоков, количество одновременно открытых файлов, количество сетевых соединений.

2. В большинстве компьютерных систем, дисковое пространство ограничено. Система diskquota обеспечивает механизм для управления используемым дисковым пространством. Ограничения могут быть установлены для каждого пользователя в отдельности, для любой или для всех файловых систем. Система ограничений (quota) будет предупреждать пользователей когда они превысят свой дозволенный лимит, но будет позволять иcпользовать некоторое дополнительное пространство для текущей работы. Система ограничений (quota system) является частью ядра LINUX , и может быть включена в ядро при конфигурировании системы. Использование квот позволяет избежать атак типа отказ в обслуживании, заключающихся в исчерпании всего доступного дискового пространства. Особенно это актуалльно для файловых серверов, на которых разрешена запись данных.

3. Для ограничения количества подключений к портам сетевых сервисов и тем самым предотвращения удалённых атак типа отказ в обслуживании в ос Linux имеется демон xinetd, который предназначен для управления сетевыми службами. Xinetd запускает процессы которые предоставляют различные сервисы интернет. В отличие от сервисов которые стартуют во время инициализации системы и пребывают в бездействии в ожидании запросов, xinetd представляет собой только один процесс слушающий на всех портах сервисов перечисленных в файле конфигурации xinetd.conf. Когда приходит запрос xinetd запускает соответствующий сервер. xinetd реализует механизмы контроля доступа, имеет большие возможности по протоколированию и способность управлять службами по расписанию. Xinetd может установить ограничение на количество серверов, которые система может запустить, количество соединений к сервису с одного ip-адреса и обладает развёртываемыми защитными механизмами для противодействия сканерам портов.

4. Межсетевой экран iptables, помимо функций межсетевого экранирования позволяет составлять правила, ограничивающие количество одновременных соединений для определённых сетевых портов и тем самым защищая хос с установленной ос Linux от атак типа отказ в обслуживании.

5. Файловые системы, применяемые в современных дистрибутивах ОС Linux поддерживают журналирование. Журналируемая файловая система сохраняет список изменений, которые она будет проводить с файловой системой, перед фактическим их осуществлением. Эти записи хранятся в отдельной части файловой системы, называемой журналом. Как только изменения файловой системы внесены в журнал, она применяет эти изменения к файлам или метаданным, а затем удаляет эти записи из журнала. Записи журнала организованы в наборы связанных изменений файловой системы.

При перезагрузке компьютера программа монтирования может гарантировать целостность журналируемой файловой системы простой проверкой лог-файла на наличие ожидаемых, но не произведённых изменений и последующей записью их в файловую систему. То есть, при наличии журнала в большинстве случаев системе не нужно проводить проверку целостности файловой системы. Соответственно, шансы потери данных в связи с проблемами в файловой системе значительно снижаются.

7. Одним из перспективных направлений создания системы высокой доступности является создание кластеров. Собственно кластер можно определить как совокупность нескольких (двух или более) компьютерных систем (узлов), управляемых и используемых как единое целое. Кластеры можно разделить по цели объединения компьютеров (наращивание вычислительной мощности, повышение доступности, то и другое одновременно), по способу объединения узлов (c общей физической памятью, с общими дисковыми подсистемами и т.п.). ОС Linux можно использовать для создания кластерных систем, при этом не потребуется никакого дополнительного ПО для объединения нескольких серверов под управление Linux в единый кластер. Эта возможность встроена в ядро Linux